WmiExec
Як це працює
Процеси можуть бути відкриті на хостах, де відомі ім'я користувача та або пароль, або хеш, за допомогою WMI. Команди виконуються за допомогою WMI через Wmiexec, що забезпечує напівінтерактивний досвід оболонки.
dcomexec.py: Використовуючи різні кінцеві точки DCOM, цей скрипт пропонує напівінтерактивну оболонку, подібну до wmiexec.py, спеціально використовуючи об'єкт DCOM ShellBrowserWindow. Наразі підтримуються об'єкти MMC20. Application, Shell Windows та Shell Browser Window. (джерело: Hacking Articles)
Основи WMI
Простір імен
Структурований у ієрархії, подібній до каталогу, верхній контейнер WMI - це \root, під яким організовані додаткові каталоги, які називаються просторами імен. Команди для переліку просторів імен:
Класи в межах простору імен можна перерахувати за допомогою:
Класи
Знання назви класу WMI, такого як win32_process, та простору імен, в якому він знаходиться, є критично важливим для будь-якої операції WMI.
Команди для переліку класів, що починаються з win32
:
Виклик класу:
Methods
Методи, які є однією або кількома виконуваними функціями класів WMI, можуть бути виконані.
WMI Перерахунок
Статус служби WMI
Команди для перевірки, чи працює служба WMI:
Інформація про систему та процеси
Збір інформації про систему та процеси за допомогою WMI:
Для атакуючих WMI є потужним інструментом для перерахунку чутливих даних про системи або домени.
Запит віддаленого WMI для отримання конкретної інформації, такої як локальні адміністратори або користувачі, що увійшли в систему, можливий за умови ретельного складання команд.
Ручне віддалене запитування WMI
Сховане виявлення локальних адміністраторів на віддаленій машині та користувачів, що увійшли в систему, можна досягти за допомогою специфічних запитів WMI. wmic
також підтримує читання з текстового файлу для виконання команд на кількох вузлах одночасно.
Щоб віддалено виконати процес через WMI, наприклад, розгорнути агент Empire, використовується наступна структура команди, успішне виконання якої вказується значенням повернення "0":
Цей процес ілюструє можливості WMI для віддаленого виконання та перерахунку системи, підкреслюючи його корисність як для адміністрування системи, так і для тестування на проникнення.
References
Automatic Tools
Last updated